Mimikatz Rubeus : attaque latérale Kerberos
Comprendre Mimikatz Rubeus attaque latérale
Définition
Mimikatz et Rubeus sont deux outils offensifs centraux dans toute attaque latérale ciblant Active Directory. Mimikatz, développé par Benjamin Delpy, extrait des credentials en clair, des hashes NTLM et des tickets Kerberos directement depuis la mémoire du processus LSASS. Rubeus, écrit en C# natif, manipule le protocole Kerberos sans passer par les API Windows standard, ce qui le rend plus discret. Ces outils permettent des techniques comme le Pass-the-Ticket (injection d'un TGT ou TGS volé), l'Overpass-the-Hash (conversion d'un hash NTLM en ticket Kerberos valide) ou le Golden Ticket (forge d'un TGT signé avec le hash du compte KRBTGT). L'attaque latérale repose sur la réutilisation de ces matériaux cryptographiques pour s'authentifier sur d'autres machines du domaine sans connaître le mot de passe en clair. Active Directory devient alors un terrain de propagation silencieux. La criticité est maximale : un seul hash ou ticket valide suffit à compromettre l'ensemble du domaine.
Détection (Blue Team / SOC)
La détection d'une attaque latérale impliquant Mimikatz ou Rubeus repose sur plusieurs sources de logs. Côté Windows, l'Event ID 4624 (logon de type 3 ou 9 sans mot de passe interactif) et l'Event ID 4768/4769 (demandes TGT et TGS) révèlent des comportements anormaux. Un ticket Kerberos avec une durée de vie de 10 ans indique un Golden Ticket forgé. L'Event ID 4776 signale des tentatives d'authentification NTLM suspectes. Côté LSASS, l'accès au processus via OpenProcess génère l'Event ID 4656 et 10 dans Sysmon, avec les flags d'accès 0x1010 ou 0x1410. Rubeus opère en mode réseau pur : ses requêtes AS-REQ et TGS-REQ présentent des anomalies détectables par des outils comme Zeek ou Suricata sur le trafic Kerberos (port 88). Des solutions EDR comme CrowdStrike ou Microsoft Defender for Endpoint détectent l'injection de tickets en mémoire. Les SIEM doivent corréler les authentifications depuis des machines atypiques avec des comptes privilégiés sur de courtes fenêtres temporelles.
Exploitation & contre-mesures (Red Team)
En phase de post-exploitation, un Red Teamer utilise Mimikatz via la commande 'sekurlsa::tickets /export' pour extraire tous les tickets Kerberos actifs en mémoire. Rubeus permet ensuite de les réinjecter avec 'Rubeus.exe ptt /ticket:'. La technique Overpass-the-Hash s'exécute avec 'sekurlsa::pth' et transforme un hash NTLM en session Kerberos valide. Pour le Golden Ticket, 'kerberos::golden' nécessite le hash KRBTGT et le SID du domaine, obtenus après un DCSync. Le durcissement passe par plusieurs mesures concrètes. Activer Credential Guard (VBS) bloque l'accès direct à LSASS depuis l'espace utilisateur. Déployer Protected Users Security Group interdit la mise en cache des credentials et force Kerberos. Auditer les comptes avec délégation Kerberos non contrainte réduit la surface d'attaque. Appliquer le tiering model (Tier 0/1/2) limite la propagation latérale. Renouveler le hash KRBTGT deux fois consécutives invalide tous les Golden Tickets existants. Enfin, restreindre les droits d'accès à LSASS via la clé de registre 'RunAsPPL' rend le dumping mémoire nettement plus difficile.
Articles sur Mimikatz Rubeus attaque latérale
Deux techniques, un même objectif : se déplacer latéralement sans connaître les mots de passe. Comparaison technique et limites de Credential Guard.